Connettore Symantec Endpoint Protection per Microsoft Sentinel

  • Articolo

Il connettore Broadcom Symantec Endpoint Protection (SEP) consente di connettere facilmente i log SEP con Microsoft Sentinel. Ciò offre maggiori informazioni sulla rete dell'organizzazione e migliora le funzionalità dell'operazione di sicurezza.

Attributi del connettore

Attributo del connettore Descrizione
Tabelle log Analytics Syslog (SymantecEndpointProtection)
Supporto delle regole di raccolta dati Trasformazione dell'area di lavoro DCR
Supportato da Microsoft Corporation

Esempi di query

**Primi 10 tipi di log **

SymantecEndpointProtection 

| summarize count() by LogType 

| top 10 by count_

Primi 10 utenti

SymantecEndpointProtection 

| summarize count() by UserName 

| top 10 by count_

Prerequisiti

Per integrare Symantec Endpoint Protection, assicurarsi di avere:

  • Symantec Endpoint Protection (SEP): deve essere configurato per esportare i log tramite Syslog

Istruzioni per l'installazione del fornitore

NOTA: Questo connettore dati dipende da un parser basato su una funzione Kusto per funzionare come previsto che viene distribuito come parte della soluzione. Per visualizzare il codice della funzione in Log Analytics, aprire il pannello Log Analytics/Microsoft Sentinel Logs, fare clic su Funzioni e cercare l'alias Symantec Endpoint Protection e caricare il codice della funzione oppure fare clic qui, nella seconda riga della query immettere i nomi host del dispositivo SymantecEndpointProtection e qualsiasi altro identificatore univoco per il logstream. La funzione richiede in genere 10-15 minuti per attivare dopo l'installazione/aggiornamento della soluzione.

  1. Installare ed eseguire l'onboarding dell'agente per Linux

In genere, è necessario installare l'agente in un computer diverso da quello in cui vengono generati i log.

I log syslog vengono raccolti solo dagli agenti Linux .

  1. Configurare i log da raccogliere

Configurare le strutture che si desidera raccogliere e le relative gravità.

  1. In Configurazione impostazioni avanzate dell'area di lavoro selezionare Dati e quindi Syslog.

  2. Selezionare Applica la configurazione seguente ai computer e selezionare le strutture e le gravità.

  3. Fare clic su Save (Salva).

  4. Configurare e connettere Symantec Endpoint Protection

Seguire queste istruzioni per configurare Symantec Endpoint Protection per inoltrare syslog. Usare l'indirizzo IP o il nome host per il dispositivo Linux con l'agente Linux installato come indirizzo IP di destinazione.

Passaggi successivi

Per altre informazioni, passare alla soluzione correlata nel Azure Marketplace.